پیکربندی «امنیت لایه انتقال» برای تجربه «Edge جدید»

Edge for Private Cloud نسخه ۴.۱۹.۰۱

به‌طور پیش‌فرض، ازطریق HTTP بااستفاده از نشانی IP یا نام ساناد گره تجربه New Edge و درگاه ۳۰۰۱ به تجربه New Edge دسترسی پیدا می‌کنید. برای مثال:

http://newue_IP:3001

یا می‌توانید دسترسی TLS به تجربه New Edge را پیکربندی کنید تا بتوانید به آن در این قالب دسترسی داشته باشید:

https://newue_IP:3001

الزامات TLS

تجربه New Edge فقط از TLS v1.2 پشتیبانی می‌کند. اگر TLS را در تجربه New Edge فعال کنید، کاربران باید بااستفاده از مرورگر سازگار با TLS نسخه ۱.۲ به تجربه New Edge متصل شوند.

خصوصیت‌های پیکربندی «امنیت لایه انتقال»

فرمان زیر را برای پیکربندی TLS برای تجربه New Edge اجرا کنید:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

‫configFile فایل پیکربندی‌ای است که برای نصب تجربه New Edge استفاده کرده‌اید.

قبل‌از اجرای این فرمان، باید فایل پیکربندی را ویرایش کنید تا ویژگی‌های لازم برای کنترل TLS را تنظیم کنید. جدول زیر ویژگی‌هایی را شرح می‌دهد که برای پیکربندی TLS برای تجربه New Edge استفاده می‌کنید:

دارایی شرح الزامی است؟
MANAGEMENT_UI_SCHEME

پروتکل «http» یا «https» را که برای دسترسی به تجربه New Edge استفاده می‌شود تنظیم می‌کند. مقدار پیش‌فرض «http» است. برای فعال کردن «امنیت لایه انتقال»، آن را روی «https» تنظیم کنید:

MANAGEMENT_UI_SCHEME=https
 		بله
MANAGEMENT_UI_TLS_OFFLOAD

اگر «n» باشد، مشخص می‌کند که درخواست‌های «امنیت لایه انتقال» به تجربه New Edge در تجربه New Edge خاتمه می‌یابد. باید MANAGEMENT_UI_TLS_KEY_FILE و MANAGEMENT_UI_TLS_CERT_FILE. را تنظیم کنید

اگر «y» باشد، مشخص می‌کند که درخواست‌های TLS به تجربه New Edge در یک متعادل‌کننده بار خاتمه می‌یابد، و سپس متعادل‌کننده بار درخواست را بااستفاده از HTTP به تجربه New Edge بازارسال می‌کند.

اگر TLS را در متعادل‌کننده بار خاتمه دهید، تجربه New Edge همچنان باید بداند که درخواست اصلی ازطریق TLS ارسال شده است. برای مثال، برخی‌از کوکی‌ها پرچم «ایمن» دارند.

باید MANAGEMENT_UI_SCHEME را روی «https» تنظیم کنید، درغیراین‌صورت MANAGEMENT_UI_TLS_OFFLOAD نادیده گرفته می‌شود:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		بله
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

اگر MANAGEMENT_UI_TLS_OFFLOAD=n، مسیر مطلق به کلید «امنیت لایه انتقال» و فایل‌های گواهی را مشخص می‌کند. فایل‌ها باید در قالب فایل‌های PEM بدون گذرعبارت باشند و مالک آن‌ها باید کاربر «apigee» باشد.

مکان توصیه‌شده برای این فایل‌ها: 

/opt/apigee/customer/application/edge-management-ui

اگر آن دایرکتوری وجود ندارد، آن را ایجاد کنید.

اگر MANAGEMENT_UI_TLS_OFFLOAD=y، سپس MANAGEMENT_UI_TLS_KEY_FILE را حذف کنید و MANAGEMENT_UI_TLS_CERT_FILE. آن‌ها نادیده گرفته می‌شوند زیرا درخواست‌ها به تجربه New Edge ازطریق HTTP وارد می‌شوند.

 بله اگر MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

اگر MANAGEMENT_UI_TLS_OFFLOAD=n، نشانی وب تجربه New Edge را مشخص می‌کند.

این ویژگی را براساس ویژگی‌های دیگر در فایل پیکربندی تنظیم کنید. برای مثال:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

مکان:

  • MANAGEMENT_UI_SCHEME پروتکل «http» یا «https» را طبق توضیحات بالا مشخص می‌کند.
  • MANAGEMENT_UI_IP نشانی IP یا نام ساناد تجربه New Edge را مشخص می‌کند.
  • MANAGEMENT_UI_PORT درگاه مورداستفاده تجربه New Edge را مشخص می‌کند.

برای اطلاعات بیشتر درباره این ویژگی‌ها، به نصب تجربه Edge جدید مراجعه کنید.

اگر MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP نشانی IP یا نام ساناد متعادل‌کننده بار را مشخص می‌کند، نه تجربه New Edge را.
  • متعادل‌کننده بار و New UE باید از شماره درگاه یکسانی برای درخواست‌ها استفاده کنند، برای مثال ۳۰۰۱. از MANAGEMENT_UI_PORT برای مشخص کردن شماره درگاه در متعادل‌کننده بار و در New UE استفاده کنید.

بله
SHOEHORN_SCHEME

قبل‌از اینکه تجربه New Edge را نصب کنید، ابتدا واسط کاربر Edge پایه را نصب می‌کنید که shoehorn نامیده می‌شود. فایل پیکربندی نصب از ویژگی زیر برای مشخص کردن پروتکل «http» استفاده می‌کند که برای دسترسی به Edge UI پایه استفاده می‌شود:

SHOEHORN_SCHEME=http

رابط کاربری Edge پایه از TLS پشتیبانی نمی‌کند، بنابراین حتی وقتی TLS را در تجربه New Edge فعال می‌کنید، این ویژگی همچنان باید روی «http» تنظیم شود.

 بله و روی «http» تنظیم شده است

پیکربندی «امنیت لایه انتقال» (TLS)

برای پیکربندی دسترسی TLS به تجربه New Edge:

  1. گواهی و کلید TLS را به‌عنوان فایل‌های PEM بدون گذرعبارت تولید کنید. برای مثال:

    mykey.pem
mycert.pem

    روش‌های زیادی برای تولید گواهی و کلید TLS وجود دارد. برای مثال، می‌توانید فرمان زیر را برای تولید گواهی و کلید امضانشده اجرا کنید:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. فایل‌های کلید و گواهی را در فهرست راهنمای /opt/apigee/customer/application/edge-management-ui کپی کنید. اگر آن دایرکتوری وجود ندارد، آن را ایجاد کنید.

  3. مطمئن شوید که گواهی و کلید متعلق به کاربر «apigee» باشد:

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. فایل پیکربندی را که برای نصب تجربه New Edge استفاده کردید ویرایش کنید تا ویژگی‌های TLS زیر را تنظیم کنید:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

  5. فرمان زیر را برای پیکربندی TLS اجرا کنید:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    که configFile نام فایل پیکربندی است.

    دستورگان تجربه New Edge را بازراه‌اندازی می‌کند.

  6. فرمان‌های زیر را برای راه‌اندازی و بازراه‌اندازی shoehorn اجرا کنید:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    پس‌از بازراه‌اندازی، تجربه New Edge از دسترسی ازطریق HTTPS پشتیبانی می‌کند. اگر پس‌از فعال کردن TLS نمی‌توانید به سیستم تجربه New Edge وارد شوید، حافظه نهان مرورگر را پاک کنید و دوباره به سیستم وارد شوید.

پیکربندی تجربه New Edge وقتی TLS در متعادل‌کننده بار خاتمه می‌یابد

اگر متعادل‌کننده باری دارید که درخواست‌ها را به تجربه New Edge بازارسال می‌کند، می‌توانید اتصال TLS را در متعادل‌کننده بار خاتمه دهید و سپس از متعادل‌کننده بار بخواهید درخواست‌ها را ازطریق HTTP به تجربه New Edge بازارسال کند:

پایان دادن به TLS در ترازکننده بار

این پیکربندی پشتیبانی می‌شود اما باید متعادل‌کننده بار و تجربه New Edge را مطابق با آن پیکربندی کنید.

برای پیکربندی تجربه New Edge وقتی TLS در متعادل‌کننده بار خاتمه می‌یابد:

  1. فایل پیکربندی را که برای نصب تجربه New Edge استفاده کردید ویرایش کنید تا ویژگی‌های TLS زیر را تنظیم کنید:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge experience.
# The load balancer and the New Edge experience must use the same port number.
MANAGEMENT_UI_IP=3001

# Leave these properties set to the same values as when you installed the New Edge experience:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
SHOEHORN_SCHEME=http

    اگر MANAGEMENT_UI_TLS_OFFLOAD=y را تنظیم کردید، MANAGEMENT_UI_TLS_KEY_FILE و MANAGEMENT_UI_TLS_CERT_FILE. را حذف کنید. این موارد نادیده گرفته می‌شوند زیرا درخواست‌های تجربه New Edge ازطریق HTTP وارد می‌شوند.

  2. فرمان زیر را برای پیکربندی TLS اجرا کنید:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    که configFile نام فایل پیکربندی است.

    دستورگان تجربه New Edge را بازراه‌اندازی می‌کند.

  3. فرمان‌های زیر را برای راه‌اندازی و بازراه‌اندازی shoehorn اجرا کنید:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    پس‌از بازراه‌اندازی، تجربه New Edge از دسترسی ازطریق HTTPS پشتیبانی می‌کند. اگر پس‌از فعال کردن TLS نمی‌توانید به سیستم تجربه New Edge وارد شوید، حافظه نهان مرورگر را پاک کنید و دوباره به سیستم وارد شوید.

غیرفعال کردن TLS در تجربه New Edge

برای غیرفعال کردن TLS در تجربه New Edge:

  1. فایل پیکربندی را که برای نصب تجربه New Edge استفاده کردید ویرایش کنید تا ویژگی TLS زیر را تنظیم کنید:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge experience.
MANAGEMENT_UI_IP=newue_IP_DNS

  2. فرمان زیر را برای غیرفعال کردن TLS اجرا کنید:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    که configFile نام فایل پیکربندی است.

    دستورگان تجربه New Edge را بازراه‌اندازی می‌کند.

  3. فرمان‌های زیر را برای راه‌اندازی و بازراه‌اندازی shoehorn اجرا کنید:

    /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart

    اکنون می‌توانید ازطریق HTTP به تجربه New Edge دسترسی داشته باشید. اگر پس‌از غیرفعال کردن TLS نمی‌توانید به سیستم تجربه New Edge وارد شوید، حافظه نهان مرورگر را پاک کنید و دوباره به سیستم وارد شوید.